Ransomware 101: Das Risk der heutigen Ransomware-Realität mindern
Ransomware ist für moderne digitale Unternehmen eine bedauerliche Realität, doch es gibt Tools, Technologien und bewährte Verfahren, die Sicherheitsorganisationen dabei helfen, nicht Opfer von Cyberkriminellen zu werden.
Definition
Was ist Ransomware?
Ransomware tauchte Ende der 1980er Jahre auf und hat sich seitdem zu einer der größten Bedrohungen für Unternehmen weltweit entwickelt.
Ransomware hat sich von infizierten Disketten weiterentwickelt und umfasst heute viele Varianten, doch im Allgemeinen handelt es sich bei Ransomware um eine Art von Malware, die den Zugriff auf Daten oder Systeme so lange verhindert, bis eine Zahlung – oder ein Lösegeld – eingegangen ist. Diese digitale Erpressungstechnik beschädigt häufig Dateien und führt zum Verlust von Daten, doch in manchen Fällen wird lediglich der Zugriff gesperrt, bis das Lösegeld gezahlt wird. Ransomware verschlüsselt häufig Dateien auf den Endgeräten und droht mit deren Löschung – einem Bericht zufolge sind nach einem Ransomware-Angriff bis zu 43 % der Daten unwiederherstellbar. In einigen Fällen wird zudem damit gedroht, vertrauliche Unternehmens-, Kunden-, Mitarbeiter- oder Partnerdaten zu veröffentlichen, die im Zuge des Angriffs extrahiert und gesammelt wurden.
Betrachten Sie nur einige dieser Statistiken: Ransomware hat etwa 25 % der Unternehmen zur Schließung gezwungen, verursacht Kosten von etwa 11.600 US-Dollar pro Minute Ausfallzeit und führt dazu, dass 70 % der Kunden angeben, sie würden keine Geschäfte mehr mit einer Marke tätigen. In allen Fällen wollen Unternehmen um jeden Preis vermeiden, Opfer von Ransomware zu werden – doch das ist unwahrscheinlich, da die Verbreitung weiter zunimmt. Der nächstbeste Ansatz ist ein gründlicher Plan zur Recovery nach einem Ransomware-Angriff, um Unternehmen wieder online zu bringen und Daten zu sichern.
So mindern Sie das Risiko
Ransomware 101: Das Risk der heutigen Ransomware-Realität mindern
Ransomware ist eine bedauerliche Realität für moderne digitale Unternehmen, doch es gibt Tools, Technologien und bewährte Verfahren, die Sicherheitsabteilungen dabei helfen, nicht Opfer von Angreifern zu werden – und den Schaden zu minimieren, falls es doch zu einem Angriff kommt.
Was raubt Sicherheitsverantwortlichen den Schlaf? Die Liste könnte endlos sein, doch im Jahr 2024 steht Ransomware wahrscheinlich ganz oben auf der Liste der am meisten gefürchteten Angriffe auf Unternehmen.
Ransomware schränkt nicht nur den Zugriff auf wichtige Systeme ein, sondern fordert auch Lösegeld und veröffentlicht Daten. Sicherheitsverantwortliche müssen ihre Umgebungen vor diesen böswilligen Angriffen schützen – und, was noch wichtiger ist, eine Recovery-Strategie entwickeln, die den Geschäftsbetrieb in einen bekannten, sicheren Zustand zurückversetzt.
Ransomware richtet seit rund 35 Jahren verheerenden Schaden an Computersystemen an, und die von böswilligen Akteuren entwickelte Schadsoftware, die Angriffe auf Unternehmen, Organisationen und Einzelpersonen ausführt, zeigt keine Anzeichen einer Abschwächung, da die Umgebungen immer komplexer und die Welt vernetzter denn je werden.
Laut einem Bericht des SANS Institute, der auf Daten von eCrime.ch basiert, stiegen die Ransomware-Angriffe von 2022 bis 2023 um fast 73 %, wobei im Jahr 2023 insgesamt 4.611 Fälle gemeldet wurden. Branchenbeobachter schätzen, dass sich die weltweiten Schadenskosten durch Ransomware bis 2031 auf 265 Milliarden US-Dollar belaufen werden. Während im Jahr 2021 80 % der Organisationen von Ransomware betroffen waren, gaben 60 % der Entscheidungsträger im Sicherheitsbereich an, dass Ransomware ebenso schwerwiegend sei wie Terrorismus. Die Schwere der Angriffe kann ein Unternehmen finanziell oder durch Imageschäden lahmlegen oder zerstören – und sogar lebensbedrohliche Folgen haben, wenn Gesundheitsdienstleister ins Visier genommen werden.
Vorbeugung
So beugen Sie einem Angriff vor
Mit den zunehmenden und sich ständig weiterentwickelnden Cyberbedrohungen Schritt zu halten, ist mehr als nur ein Vollzeitjob – es ist die Aufgabe jedes Einzelnen im Unternehmen. Da Angreifer und Schwachstellen immer raffinierter werden, müssen auch Sicherheitsverantwortliche, IT-Abteilungen, Mitarbeiter und Endnutzer entsprechend reagieren.
Die Prävention von Ransomware-Angriffen beginnt mit Information und Aufklärung. Es gibt mehrere bewährte Vorgehensweisen, die unternehmensweit kommuniziert werden sollten, um das Risiko zu verringern, dass Ransomware versehentlich in einer Umgebung ausgeführt wird. Es sollten funktionsübergreifende Teams im gesamten Unternehmen gebildet werden, um die bewährten Vorgehensweisen zu vermitteln und die Teilnehmer darin zu schulen, was sie nicht tun sollten.
Klicken Sie niemals auf unbekannte oder unsichere Links: Das Anklicken von Links in E-Mails oder auf Websites kann einen automatischen Download von Ransomware auslösen, die den Computer und das Netzwerk, mit dem er verbunden ist, infiziert.
Geben Sie keine persönlichen Daten preis: Die Weitergabe persönlicher Daten an einen nicht vertrauenswürdigen Dritten per Telefon, E-Mail oder SMS könnte einem Angreifer genügend Informationen liefern, um einen Phishing-Angriff zu entwickeln, der Ransomware enthält.
Öffnen Sie niemals verdächtige E-Mail-Anhänge: Das Öffnen eines Anhangs aus einer nicht vertrauenswürdigen oder unbekannten Quelle kann Ransomware auslösen. Öffnen Sie keine Anhänge, die zur Ausführung von Makros auffordern, da sich dahinter oft ein Angreifer verbirgt, der sich so Zugang zum System verschafft.
Vermeiden Sie unbekannte USB-Sticks: Das Anschließen von Speichermedien unbekannter Herkunft an einen Computer kann den Computer und die Umgebung infizieren.
Überprüfen Sie Downloads von Websites: Das Herunterladen von Dateien von ungesicherten Websites kann zu einer Ransomware-Infektion führen. Websites mit „https“ anstelle von „http“ weisen darauf hin, dass sie sicher sind, und ein Schild- oder Schlosssymbol in der Adressleiste signalisiert ebenfalls Sicherheit.
Nutzen Sie VPN-Dienste in öffentlichen Netzwerken: Die Nutzung öffentlicher WLAN-Netze kann ein System angreifbar machen. Achten Sie darauf, sichere VPN-Dienste zu nutzen, wenn Sie auf öffentliche WLAN-Netze zugreifen.
Halten Sie Betriebssysteme auf dem neuesten Stand: Das Versäumnis, Programme zu aktualisieren, führt zu Sicherheitslücken im System. Stellen Sie sicher, dass alle erforderlichen Betriebssystem-Updates sowie Sicherheitspatches installiert werden, um Systeme nicht Angriffen auszusetzen.
Endgeräte absichern: Eine sicherheitsorientierte Konfiguration der Systeme begrenzt die Angriffsfläche eines Unternehmens und schließt Sicherheitslücken, die durch Standardkonfigurationen entstanden sind.
Überprüfen Sie die Porteinstellungen: Indem Sie prüfen, ob ein Unternehmen bestimmte Ports offen lassen muss, können Sie Verbindungen auf bekannte, vertrauenswürdige Hosts beschränken. Überprüfen Sie die Einstellungen sowohl für lokale als auch für Cloud-Umgebungen und deaktivieren Sie nicht genutzte RDP-Ports (Remote Desktop Protocol).
IDS implementieren: Der Einsatz eines Intrusion-Detection-Systems zur Erkennung böswilliger Aktivitäten warnt ein Unternehmen vor potenziellen Angriffen, sobald solche Aktivitäten festgestellt werden.
Sicherheitsverantwortliche und IT-Abteilungen sollten Endnutzern und Entscheidungsträgern im Unternehmen verdeutlichen, wie wichtig die Anwendung dieser Best Practices in einer vernetzten Umgebung ist, um Angriffe zu vermeiden. Dennoch werden Cyberkriminelle nicht nachlassen und weiterhin Fallen stellen, sodass Ransomware in der modernen digitalen Welt zu einer unvermeidlichen Realität des Geschäftsalltags geworden ist. Der zweitbeste Ansatz zur Vermeidung ist eine schnelle Recovery-Prozedur.
Wiederherstellung
So stellen Sie den Betrieb schnell und mit minimalem Schaden wieder her
Ein Ransomware-Angriff zielt darauf ab, einem Unternehmen Schaden zuzufügen und dem Angreifer finanziellen Gewinn zu verschaffen. Um sich schneller von einem Angriff zu erholen, sollten Ransomware-Opfer über einen Plan zur Reaktion auf Vorfälle verfügen.
Ein Notfallplan hilft einem Unternehmen dabei, sich auf einen Ransomware-Vorfall vorzubereiten, darauf zu reagieren und sich davon zu erholen. Sicherheitsverantwortliche sollten Richtlinien zu den wichtigsten Maßnahmen und Zuständigkeiten bereitstellen, um die Gesamtzeit bis zur Recovery zu verkürzen und die Daten so schnell wie möglich wiederherzustellen. Die Recovery-Zeit nach einem Angriff kann zwischen einigen Tagen und mehreren Monaten liegen, wobei der Durchschnitt bei etwa drei Wochen liegt.
Zu den wichtigsten Schritten eines Ransomware-Recovery-Plans gehören:
Sichern Sie den Perimeter: Sperren Sie Systeme beim ersten Anzeichen eines Angriffs sofort ab. Schätzungen zufolge beträgt das Zeitfenster für einen Ransomware-Angriff 84 Minuten – so lange dauert es, bis Daten unbrauchbar gemacht, abgezogen oder zerstört werden. Schließen Sie alle Eintritts- und Zugriffspunkte zum Unternehmen, indem Sie wissen, welche Ressourcen vorhanden sind, auf welche sie zugreifen und wie Sie sie alle abschalten können.
Den Schaden einschätzen: Sobald die Umgebung gesichert ist, sollten Sie den durch den Angriff entstandenen Schaden einschätzen. Ermitteln Sie, welche Daten offengelegt wurden oder abgeflossen sind, und bestimmen Sie die Auswirkungen im Hinblick auf Branchen-, Landes-, Bundes- und internationale Vorschriften. Machen Sie sich mit den Offenlegungspflichten vertraut und tauschen Sie sich teamübergreifend darüber aus, wie diese Anforderungen am besten erfüllt werden können.
Ermitteln Sie die Ursache: Es ist entscheidend zu verstehen, wie oder warum das Unternehmen Opfer eines Ransomware-Angriffs wurde. War der Perimeter ungesichert? Gab es geeignete Kontrollmaßnahmen, um den Angriff schnell zu erkennen? Hat das Unternehmen ausreichende Schulungen zur Sensibilisierung für Cybersicherheit durchgeführt, um Phishing-Versuche zu verhindern? Gibt es einen Datenschutzplan, der Kundeninformationen schützt? Zu verstehen, wie der Ransomware-Angriff in einem Unternehmen stattfinden konnte, trägt wesentlich dazu bei, zukünftige Sicherheitsverletzungen zu verhindern.
Daten wiederherstellen: Stellen Sie die erforderlichen Daten aus einem älteren Backup wieder her, das vor der Ransomware-Infektion erstellt wurde. Es ist wichtig, einen Wiederherstellungspunkt vor der Infektion zu identifizieren und die Daten zunächst in einer Sandbox-Umgebung wiederherzustellen, damit die Ransomware nicht erneut in die Produktionsumgebung gelangt.
Kommunikation mit den Beteiligten: Seien Sie gegenüber den wichtigsten Beteiligten transparent. Der CEO und die Führungskräfte der obersten Ebene müssen so schnell wie möglich informiert werden, und der Vorstand muss alarmiert werden. Am wichtigsten sind jedoch die von der Sicherheitsverletzung Betroffenen, wie Kunden, Partner oder Mitarbeiter, die so schnell wie möglich benachrichtigt werden müssen.
Führen Sie eine Analyse nach dem Angriff durch: Führen Sie ein Sicherheitsaudit durch, um Schwachstellen aufzudecken und Richtlinien, Endgeräteschutzmaßnahmen, Sicherheitskontrollen sowie Konfigurationen zu überprüfen. Identifizieren Sie Schwachstellen und Verbesserungsmöglichkeiten, um das Unternehmen in Zukunft effektiver zu unterstützen und Widerstandsfähigkeit gegenüber künftigen Angriffen aufzubauen.
Für viele Unternehmen ist Ransomware eine unvermeidbare Gegebenheit. Es ist von entscheidender Bedeutung, einen Plan zur Reaktion auf Vorfälle zu erstellen, um die Umgebung vor Angriffen zu schützen, Mitarbeiter und Endnutzer darüber aufzuklären, wie sie Auslöser vermeiden können, und schnell zu reagieren, um Schäden zu vermeiden und Daten wiederherzustellen. Ohne angemessene Readiness für Ransomware werden Unternehmen mit hoher Wahrscheinlichkeit Opfer von Angriffen – mit Datenverlusten, Sicherheitsbedrohungen und kostspieligen Betriebsausfällen in einer Zeit, in der Nutzer und Unternehmen rund um die Uhr Zugriff auf ihre Daten benötigen.
Ransomware 101
Demo zur Wiederherstellung nach einem Ransomware-Angriff
